METODOLOGIA BLIP – 1.

0
PENETRATION TESTING CONFIDENCIAL
Copyright © Desec Security (https://www.desecsecurity.com)
© copyright - Todos os direitos reservados
 2

METODOLOGIA
PENETRATION TESTING

Este documento tem como objetivo apresentar a nossa metodologia de execução de

simulações de ataques cibernéticos / testes de invasão.

Entendemos que é importante desenvolver ou seguir uma metodologia durante a execução de

testes de segurança permitindo assim garantir a qualidade do trabalho.

O objetivos dessas simulações e testes de segurança é identificar riscos de segurança que

possam ter algum impacto no negócio do cliente e garantir que o cliente realize a mitigação do
problema de forma correta.

De uma forma simplificada, nosso objetivo é encontrar o risco e transformar esse risco
em um risco tratado tornando assim o ambiente mais seguro.

Nós desenvolvemos um método chamado M.A.M no qual se baseia em três etapas

fundamentais.

Mapeamento, Análise de segurança e Mitigação de riscos

Na imagem abaixo conseguimos ter uma visão mais clara do modelo que desenvolvemos.

© copyright - Todos os direitos reservados METODOLOGIA DESEC SECURITY

 3

Na etapa de mapeamento temos como objetivo identificar a superfície de ataque, na etapa de

análise de segurança nós realizamos os testes de segurança e classificamos os riscos e na
faze de mitigação de riscos apresentamos os riscos priorizando por criticidade.

No final desse processo, quando o risco é corrigido ainda fazemos o re-test para garantir que
o risco foi corrigido da forma correta.

Desta forma conseguimos fechar o ciclo do serviço de forma completa levando um risco
identificado a se tornar um risco tratado.

MAPEAMENTO

Processo de coleta de dados inteligente com objetivo de identificar a superfície de ataque

e levantar detalhes sobre os sistemas encontrados.

ANÁLISE DE SEGURANÇA

Processo onde realizaremos os testes de segurança com o objetivo de identificar

vulnerabilidades, testar controles existentes, verificar a possibilidade de fraudes
identificando e classificando o risco e medindo o impacto através da validação e exploração
das vulnerabilidades identificadas.

MITIGAÇÃO DE RISCOS

Processo onde documentamos e apresentamos os resultados do teste, incluindo detalhes

técnicos, evidências e recomendações para correção dos problemas identificados. O
acompanhamento da gestão dos riscos apresentados, a correção e retest são feitos
através da nossa plataforma DNGP.

© copyright - Todos os direitos reservados METODOLOGIA DESEC SECURITY

 4

APLICANDO O MÉTODO M.A.M

Uma das vantagens do método M.A.M é que ele é flexível podendo inclusive ser utilizado em
conjunto com outras metodologias de mercado, por exemplo, podemos usar o método M.A.M
para criar nossa metodologia de testes para aplicação web.

No exemplo acima nosso modelo seguiria a seguinte estrutura:

A etapa de mapeamento teria como objetivo identificar a superfície de ataque da aplicação,

entender como a aplicação funciona, quais recursos ela oferece e detalhes de seu
comportamento.

Na etapa de análise de segurança podemos utilizar uma metodologia de execução própria

ou incluir a metodologia de execução da OWASP TOP 10 para realizar os testes e identificar
as vulnerabilidades e classificar os riscos.

Na etapa de mitigação de riscos sempre iremos organizar os riscos encontrados priorizando

por sua criticidade e apresentar todos os detalhes para que o problema possa ser corrigido e
o re-test possa ser realizado posteriormente.

Lembre-se, o objetivo do modelo é sempre organizar a metodologia em:

- Mapear o Ambiente
- Testar a segurança
- Tratar o Risco

Como podemos ver na etapa de mapeamento ao invés de mapear a superfície de ataque

completa o foco foi em uma única aplicação (pois o objetivo era criar um processo para testes
focados em aplicações web), isso valeria para qualquer tipo de testes pois essa etapa sempre
foca em conhecer o ambiente.

E na etapa de análise de segurança podemos incluir outras metodologias de mercado para

execução dos testes tornando assim um modelo fácil de ser implementado independente do
tipo de teste a ser realizado.

© copyright - Todos os direitos reservados METODOLOGIA DESEC SECURITY

 5

CHECKLIST EXECUÇÃO – EXTERNAL PENETRATION TESTING

Information Gathering – Business

o Mapear colaboradores
o Mapear vagas de emprego
o Mapear endereços de e-mail
o Mapear padrão de usuários
o Mapear vazamento de dados
o Mapear credenciais na DeepWeb
o Mapear dados no Pastebin
o Mapear dados no Trello
o Mapear domínios similares
o Mapear cache de sites
o Realizar Google Hacking
o Realizar Bing Hacking
o Non Delivery Notification
o Mapear metadados em arquivos
o Mapear informações relevantes

Information Gathering – Infra

o Pesquisa Whois
o Pesquisa RDAP
o Pesquisa por IP
o Pesquisa BGP
o Pesquisa Shodan
o Pesquisa Censys
o Pesquisa em certificados
o Pesquisa DNS direta
o Pesquisa DNS reversa
o Pesquisa DNS zone transfer
o Pesquisa passiva (virustotal)
o Pesquisa passiva (dnsdumpster)
o Pesquisa passiva (securitytrails)
o Pesquisa SPF
o Pesquisa por subdomínios
o Pesquisa subdomain takeover

Information Gathering – Web

© copyright - Todos os direitos reservados METODOLOGIA DESEC SECURITY

 6

o Pesquisa Robots.txt
o Pesquisa sitemap.xml
o Identificar directory listing
o Realizar mirror website
o Identificar erros e códigos
o Identificar webserver
o Identificar métodos aceitos
o Pesquisa por diretórios
o Pesquisa por arquivos
o Pesquisa passiva (wappalyzer)
o Identificar WAF

Reconhecimento
o Mapear a rota
o Mapear hosts ativos
o Mapear portas TCP abertas
o Mapear portas UDP abertas
o Mapear serviços ativos
o Identificar o Sistema Operacional
o Identificar mecanismos de defesa

Análise do Ambiente
o Identificar detalhes dos serviços
o Identificar pontos de entrada
o Identificar má configuração
o Identificar dados sensíveis
o Identificar credenciais default
o Identificar brute force

Avaliação de Vulnerabilidades
o Pesquisa por vulnerabilidades públicas
o Pesquisa por exploits públicos
o Pesquisa por vulnerabilidade não conhecida

© copyright - Todos os direitos reservados METODOLOGIA DESEC SECURITY

 7

DNGP - DESEC NEXT GENERATION PENTESTING

Nós aplicamos esse método e modelo atualmente na nossa plataforma de gestão de riscos e
projetos de pentest (DNGP).

Como resultado os nossos clientes tem uma visão em um dashboard de todos os riscos
identificados classificados por criticidade.

Também contamos com uma aba de detalhes para que os clientes possam ver todos os
detalhes que são encontrados durante as fases de information gathering.

Quando o cliente seleciona um risco ele pode ter uma visão detalhada do problema como por
exemplo, detalhes técnicos, evidências, prova de conceito e recomendações.

Também disponibilizamos um chat para que o cliente possa se comunicar diretamente com a
nossa equipe técnica.

© copyright - Todos os direitos reservados METODOLOGIA DESEC SECURITY

 8

Já na perspectiva do pentester que executa os trabalhos nós carregamos o nosso template na

forma de checklist onde o profissional tem todo os testes que precisa executar além de
informações sobre como deve realizar a pesquisa (baseado na metodologia ensinada no
Pentest Profisisonal).

Desta forma conseguimos garantir um serviço de alta qualidade e padronizado, quando o

pentester encontra um risco ele envia para aprovação e os detalhes vão para o nosso time de
gerente que vão validar o risco identificado e avaliar se todos os detalhes foram inseridos
corretamente antes de liberar a vulnerabilidade ao cliente.

Com isso mantemos um controle da qualidade dos nossos entregáveis.

© copyright - Todos os direitos reservados METODOLOGIA DESEC SECURITY